CVE-2026-106714

Android üçün Chewy versiya 26.23.0, məhsul detalları ilə bağlı dərin keçidi (deep link) Hybrid WebView-da yükləməzdən əvvəl hostu kifayət qədər yoxlamır. Hücumçu tərəfindən idarə olunan və /dp/<number> yoluna malik səhifə, injeksiya edilmiş nma_petmd_bridge JavaScript interfeysinə daxil ola və getPetProfiles funksiyasını çağıra bilər; bu isə istifadəçi hazırlanmış keçidi açdıqdan sonra sistemə daxil olmuş istifadəçinin ev heyvanı profil məlumatlarının ifşa olunmasına səbəb olur.